En el segundo trimestre de 2026, los incidentes de seguridad en Web3 resultaron en el robo de 764 millones de dólares estadounidenses, de los cuales el 88,3% se debió a la vulneración de claves y de la infraestructura.

Según informó Odaily, el informe trimestral de seguridad y cumplimiento de Hacken revela que, en el segundo trimestre de 2026, se registraron 67 incidentes de seguridad en el sector Web3, con fondos robados por un total de 763,9 millones de dólares, convirtiéndose en el trimestre más grave desde el segundo trimestre de 2025. El daño a llaves y a la infraestructura representó el 88,3% de los fondos robados, aproximadamente 674,5 millones de dólares.

Las vulnerabilidades en contratos inteligentes siguen siendo el tipo de ataque más común, ya que 44 de los 67 incidentes estuvieron relacionados con esta causa, aunque las pérdidas asociadas representaron solo alrededor del 11% del total. Aproximadamente el 75,5% de las pérdidas provino de dos incidentes atribuidos a actores amenazantes de Corea del Norte. En este trimestre, 14 protocolos que ya habían sido auditados fueron vulnerados.

El fundador de Cysic, Leo Fan, afirmó que una auditoría es una evaluación limitada a determinado código en un momento específico, por lo que no cubre de forma automática los dispositivos de firma, la infraestructura en la nube, los permisos operativos, las actualizaciones posteriores, dependencias de terceros ni contratos antiguos aún invocables. Samuel Videau, CTO de Genius, destacó que cerca del 90% de las pérdidas provinieron de llaves, firmantes e infraestructura.

Varios responsables del área de seguridad señalaron que la protección en Web3 debe incluir monitoreo en tiempo real, gestión de llaves, autorización multiparte y recompensas por vulnerabilidades dentro de una defensa en capas. Leo Fan estima que, en la segunda mitad de 2026, los ataques a los controles de acceso operativos seguirán dominando las pérdidas, incluidos los basados en ingeniería social, robo de credenciales, compromiso de firmantes, intrusión en la nube o CI/CD y ataques contra infraestructura de validadores off-chain.